Conoce los requisitos normativos que debe cumplir un EDC para utilizarse en investigación clínica. Analizamos ICH E6(R3), la guía de la EMA, ALCOA+, 21 CFR Part 11 y los principios de validación.
Un EDC no es solo un software: es un sistema informatizado crítico
En nuestro artículo anterior explicábamos que un Electronic Data Capture (EDC) es la herramienta utilizada para recoger y gestionar los datos de un ensayo clínico. Sin embargo, desde el punto de vista regulatorio, un EDC es mucho más que una plataforma para introducir información.
Los datos almacenados en un EDC constituyen parte de la evidencia científica que permitirá demostrar la seguridad y la eficacia de un medicamento, un producto sanitario o una nueva estrategia terapéutica. Por ello, cualquier fallo que afecte a la integridad de esos datos puede comprometer la validez del estudio e incluso poner en riesgo la seguridad de los participantes.
Por este motivo, tanto las Buenas Prácticas Clínicas como las autoridades reguladoras exigen que los sistemas informatizados utilizados en investigación clínica estén diseñados, implantados y mantenidos conforme a criterios estrictos de calidad, seguridad y trazabilidad.
En este artículo analizamos los principales requisitos que debe cumplir un EDC y los documentos normativos que sirven de referencia para demostrar su adecuación.
¿Qué normativa regula un EDC?
A diferencia de otros sectores, no existe una única norma dedicada exclusivamente a los sistemas EDC. Su regulación se basa en un conjunto de guías y reglamentos que, en conjunto, establecen cómo deben gestionarse los sistemas informatizados utilizados durante un ensayo clínico.
Los principales documentos de referencia son:
ICH E6(R3): Buenas Prácticas Clínicas
La versión R3 de la guía ICH E6 introduce un cambio de enfoque respecto a versiones anteriores. Más que imponer controles uniformes para todos los estudios, promueve un modelo basado en el riesgo (Quality by Design), en el que los sistemas y procesos deben adaptarse a la complejidad del ensayo y a la criticidad de los datos.
En relación con los sistemas informatizados, la ICH E6(R3) establece que estos deben:
- ser adecuados para el uso previsto ("fit for purpose");
- mantenerse validados durante todo su ciclo de vida;
- proteger la integridad de los datos;
- disponer de mecanismos de seguridad y control de accesos;
- garantizar la trazabilidad de cualquier modificación realizada.
El mensaje es claro: el cumplimiento no depende únicamente del software, sino también de la forma en que se configura, utiliza y supervisa.
Guía de la EMA sobre sistemas informatizados y datos electrónicos
La "Guideline on Computerised Systems and Electronic Data in Clinical Trials", publicada por la Agencia Europea de Medicamentos (EMA), desarrolla con mayor detalle los requisitos aplicables a los sistemas electrónicos empleados en investigación clínica.
Esta guía aborda aspectos como:
- gobernanza de los sistemas;
- gestión del ciclo de vida;
- validación;
- gestión de proveedores;
- control de cambios;
- seguridad de la información;
- recuperación ante desastres;
- integridad y conservación de los datos.
Uno de sus principios fundamentales es que todos los controles implantados deben ser proporcionales al riesgo asociado al sistema y al impacto que tendría un fallo sobre la seguridad de los participantes o sobre la credibilidad de los resultados.
Reglamento (UE) 536/2014
Aunque este Reglamento no establece requisitos técnicos específicos para un EDC, sí exige que los datos generados durante un ensayo clínico sean fiables, verificables y estén adecuadamente documentados.
Por ello, cualquier sistema utilizado para registrar información clínica debe facilitar el cumplimiento de estas obligaciones.
Principios ALCOA+
Los principios ALCOA+ no constituyen una norma independiente, pero son la referencia internacional para evaluar la integridad de los datos.
Para poder evaluar la integridad, todo dato registrado en un EDC debe ser:
21 CFR Part 11
Cuando un ensayo clínico está sometido a la regulación de la FDA, también resulta de aplicación el 21 CFR Part 11, que establece los requisitos para el uso de registros electrónicos y firmas electrónicas.
Aunque no es una norma europea, muchos proveedores diseñan sus plataformas para cumplir simultáneamente con los requisitos de la EMA y de la FDA, especialmente en estudios internacionales.
Los ocho requisitos esenciales que debe cumplir un EDC
1. Validación del sistema
La validación es el proceso mediante el cual se demuestra documentalmente que el sistema funciona conforme a su uso previsto.
Esto implica verificar que:
- cumple las especificaciones definidas;
- responde correctamente en condiciones normales y excepcionales;
- mantiene la integridad de los datos;
- produce resultados repetibles y fiables.
La validación no es una actividad puntual, sino un proceso continuo que debe mantenerse durante todo el ciclo de vida del sistema.
2. Integridad de los datos
El objetivo principal de un EDC es garantizar que los datos permanezcan fiables desde su creación hasta su archivo.
Para ello, el sistema debe impedir modificaciones no autorizadas, registrar todos los cambios y conservar la información sin pérdidas ni alteraciones.
Los principios ALCOA+ constituyen la referencia utilizada durante auditorías e inspecciones para verificar esta integridad.
3. Audit Trail
Todo cambio realizado sobre un dato debe quedar automáticamente registrado.
El Audit Trail debe indicar:
- usuario
- fecha
- hora
- valor original
- nuevo valor
- motivo del cambio cuando proceda
Ejemplo:
Además, este registro debe ser inalterable y permanecer disponible durante todo el periodo de conservación del ensayo.
4. Gestión de usuarios y permisos
Cada usuario debe disponer de un identificador único y acceder únicamente a las funciones correspondientes a su perfil.
Un EDC debe permitir gestionar:
- altas
- modificaciones
- bajas
- permisos
- autenticación
Esto reduce el riesgo de accesos indebidos y facilita la trazabilidad de todas las acciones realizadas.
5. Firmas electrónicas
Cuando el investigador confirma la exactitud de los datos, el sistema debe garantizar que la firma electrónica está vinculada de forma inequívoca al firmante.
Además, cualquier modificación posterior debe quedar registrada para preservar la trazabilidad.
6. Gestión de cambios
Los sistemas evolucionan continuamente mediante nuevas versiones y actualizaciones.
Cada cambio debe:
7. Seguridad y continuidad del servicio
El sistema debe proteger los datos frente a pérdidas, accesos no autorizados o incidentes tecnológicos.
Entre las medidas esperadas se encuentran:
- copias de seguridad
- cifrado
- recuperación ante desastres
- monitorización
- control de incidentes
8. Conservación de la información
Los datos deben mantenerse accesibles y legibles durante todo el periodo de conservación exigido por la normativa.
Esto incluye:
- datos clínicos
- metadatos
- Audit Trail
- documentación de validación
- registros de cambios
Los errores más frecuentes
Durante auditorías e inspecciones suelen identificarse una serie de deficiencias recurrentes relacionadas con los sistemas informatizados.
Las más habituales son:
- asumir que un software comercial ya está completamente validado
- no documentar adecuadamente los cambios realizados
- utilizar cuentas compartidas entre varios usuarios
- no revisar periódicamente los permisos de acceso
- no conservar la documentación de validación
- carecer de procedimientos normalizados para la administración del sistema
- no formar adecuadamente a los usuarios
Cumplir la normativa implica mucho más que instalar un software
Uno de los errores más comunes es pensar que la adquisición de un EDC garantiza automáticamente el cumplimiento regulatorio.
En realidad, el software es solo uno de los elementos del sistema de calidad.
Para cumplir con las Buenas Prácticas Clínicas también es necesario disponer de:
- procedimientos normalizados (SOPs)
- formación documentada
- gestión de riesgos
- validación del sistema
- supervisión continua
- gestión de incidencias
- revisión periódica de accesos
- control de cambios
El cumplimiento es el resultado de la combinación entre tecnología, procesos y personas.
Conclusión
La normativa que regula los sistemas EDC ha evolucionado hacia un enfoque basado en el riesgo y en la gestión del ciclo de vida completo de los sistemas informatizados.
Hoy en día, disponer de un EDC funcional ya no es suficiente. Es necesario demostrar que el sistema está validado, protege la integridad de los datos, mantiene una trazabilidad completa de todas las operaciones y se utiliza dentro de un marco de calidad documentado.
Comprender estos requisitos permite seleccionar plataformas más adecuadas, preparar mejor las auditorías y reducir el riesgo de desviaciones regulatorias durante el desarrollo de un ensayo clínico.
En el próximo artículo abordaremos una cuestión igualmente importante:
Analizaremos el papel del promotor, la CRO, el proveedor del EDC y el investigador principal, aclarando cómo se distribuyen las responsabilidades según la ICH E6(R3) y la guía de la EMA.
